¿Qué es el Convenio Marco del Council of Europe sobre IA?
Regulación de la IA: conceptos, instituciones y normas
El Convenio Marco del Council of Europe sobre IA es el primer tratado diseñado específicamente para la IA. Establece un marco internacional para que los estados gobiernen la IA en consonancia con los derechos humanos, la democracia y el estado de derecho, a lo largo del ciclo de vida de la IA y mediante legislación, regulación y supervisión nacionales. No es un código global detallado de IA como el EU AI Act. A junio de 2026, contaba con 20 signatarios y la ratificación de la UE, y su entrada en vigor seguía pendiente.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
La mayor parte de la gobernanza de la IA internacional se ha construido hasta ahora a partir de principios, declaraciones y leyes nacionales. El Convenio Marco del Council of Europe es diferente porque es un tratado. Su función es garantizar que las actividades relacionadas con la IA se gobiernen de manera que protejan los derechos humanos, las instituciones democráticas y el estado de derecho.
El Convenio es amplio, pero no pretende regular cada característica técnica de la IA. Abarca las actividades de IA que pueden interferir con los derechos, los procesos democráticos o las garantías jurídicas, desde el diseño y las pruebas hasta el despliegue, la supervisión y la retirada. Las autoridades públicas están directamente dentro de su ámbito, y cada parte también debe abordar la actividad del sector privado.
Además, se sitúa junto a otros instrumentos, no por encima de ellos. Es menos prescriptivo que el EU AI Act, y es un instrumento distinto de la recomendación de ética de la IA de la UNESCO. Conviene entenderlo como un marco de tratado duradero que los países implementan a través de sus propios sistemas jurídicos, reguladores e instituciones públicas.
Por qué es importante
Si su organización desarrolla, adquiere, despliega o gobierna IA, este Convenio es relevante porque convierte el lenguaje amplio de la ética de la IA en obligaciones estatales concretas. Empuja a los gobiernos hacia expectativas concretas en materia de evaluación de riesgos, documentación, notificación, supervisión, consulta pública, vías de reclamación y responsabilidad institucional.
También es importante porque su marco es más amplio que el cumplimiento clásico en materia de privacidad o seguridad. El Convenio sitúa la democracia y el estado de derecho en el mismo plano que los derechos individuales. Eso significa que la integridad electoral, el acceso a la justicia, la equidad administrativa, la independencia judicial, la toma de decisiones conforme a derecho y las salvaguardias frente al poder arbitrario del Estado pasan a ser relevantes cuando se utiliza la IA en contextos sensibles.
Para los operadores, el efecto práctico suele ser indirecto, pero no por ello menos importante. El Convenio actúa a través del derecho interno, la contratación pública, los reguladores, el diseño de los servicios públicos, los tribunales y las decisiones de implementación del tratado. Un artículo del tratado puede aparecer más adelante como cláusula en un contrato del sector público, una nota de orientación de un regulador, un nuevo proceso de reclamaciones o una interpretación judicial de las obligaciones en materia de derechos en un contexto de IA. Los organismos del sector público, los proveedores de la administración y las organizaciones activas en múltiples jurisdicciones deben prestar especial atención.
Cómo funciona
Es un tratado marco, no un código completo de IA
El Convenio fue adoptado por el Council of Europe en mayo de 2024 y abierto a la firma en septiembre de 2024. Se describe como un convenio marco porque establece principios, obligaciones e instituciones comunes, pero deja a las partes margen para implementarlos a través de sus propios sistemas jurídicos. Una parte puede recurrir a legislación, medidas administrativas, orientaciones regulatorias, organismos de supervisión existentes, tribunales o combinaciones de estos. Esa flexibilidad es deliberada. El Convenio está concebido para adaptarse a distintas tradiciones jurídicas y seguir siendo útil a medida que la IA evoluciona, en lugar de vincular a los estados a un único modelo detallado.
Igualmente importante es que el informe explicativo deja claro que el Convenio no pretende crear un nuevo catálogo de derechos humanos. Su función es ayudar a las partes a aplicar las obligaciones existentes en materia de derechos humanos, democracia y estado de derecho a las actividades relacionadas con la IA. Eso lo hace duradero, pero también significa que es menos prescriptivo que un instrumento como el EU AI Act.
Sigue el ciclo de vida de la IA
El Convenio utiliza una definición amplia de sistema de IA y regula las actividades a lo largo del ciclo de vida de ese sistema. El informe explicativo ofrece ejemplos como la planificación y el diseño, la recopilación y el tratamiento de datos, el desarrollo y la construcción de modelos, las pruebas y la validación, la puesta a disposición para su uso, el despliegue, la operación, la supervisión y la retirada.
Este enfoque de ciclo de vida es importante porque un problema de derechos puede surgir mucho antes del despliegue. Los sesgos pueden introducirse en la selección de datos. La falta de revisión humana puede quedar integrada en el diseño del flujo de trabajo. La supervisión puede fallar en la contratación, la integración o el seguimiento posterior al despliegue. Al utilizar un marco de ciclo de vida, el Convenio no se limita a una etapa concreta del uso de la IA.
El ámbito de aplicación sigue siendo acotado. Se centra en las actividades de IA que tienen el potencial de interferir con los derechos humanos, la democracia o el estado de derecho. La investigación y el desarrollo de sistemas que aún no se han puesto a disposición para su uso quedan generalmente fuera del ámbito, salvo que las pruebas se realicen de un modo que pueda interferir con esos intereses protegidos.
Las autoridades públicas están directamente dentro del ámbito; los actores privados, a través de la implementación nacional
El Convenio cubre directamente la actividad de IA de las autoridades públicas, incluidos los actores privados que actúan en su nombre. Esto es relevante en materia de externalización y contratación pública. Si un organismo público se apoya en un proveedor para prestar o gestionar una función pública habilitada por IA, el Convenio está diseñado para evitar que esa relación con el proveedor se convierta en una laguna de responsabilidad.
La actividad del sector privado en sentido amplio también está cubierta, pero a través de una vía más flexible. Cada parte debe abordar los riesgos e impactos del sector privado de acuerdo con el objeto y la finalidad del Convenio, y debe declarar cómo lo hará. Una parte puede optar por aplicar directamente los capítulos II a VI a los actores privados, o recurrir a otras medidas adecuadas. Este es uno de los puntos de flexibilidad más importantes del Convenio y una de las principales razones por las que la implementación puede variar entre países.
También existen límites expresos. No se exige a una parte que aplique el Convenio a las actividades relacionadas con la protección de sus intereses de seguridad nacional, aunque dichas actividades deben seguir llevándose a cabo de conformidad con el derecho internacional aplicable y con respeto a las instituciones y los procesos democráticos. La defensa nacional queda fuera del ámbito del Convenio. Sin embargo, la aplicación ordinaria de la ley sigue estando dentro del ámbito, salvo que la excepción de seguridad nacional sea genuinamente aplicable.
Las obligaciones sustantivas se refieren a los derechos, la democracia y la responsabilidad
Las obligaciones fundamentales del Convenio parten de una idea sencilla pero significativa: la actividad de IA debe ser compatible con los derechos humanos, la democracia y el estado de derecho. A partir de ahí, se desarrolla mediante principios y obligaciones generales. Entre ellos figuran la dignidad humana y la autonomía individual, la transparencia y la supervisión, la responsabilidad, la igualdad y la no discriminación, la privacidad y la protección de datos personales, la fiabilidad y la innovación segura.
Los elementos relativos a la democracia y el estado de derecho confieren a este tratado un perfil singular. Las partes deben procurar que la IA no se utilice para socavar las instituciones y los procesos democráticos, incluida la separación de poderes, la independencia judicial, el acceso a la justicia, el acceso equitativo al debate público y la capacidad de las personas para formarse opiniones libremente. Esto va más allá de un marco estrecho de protección del consumidor o de seguridad de los productos.
La transparencia también se trata como algo práctico y no meramente simbólico. El tratado habla de requisitos de transparencia y supervisión adecuados, adaptados al contexto y al riesgo, incluida la identificación del contenido generado por IA cuando proceda. El informe explicativo también vincula la transparencia a la explicabilidad y la interpretabilidad, reconociendo al mismo tiempo que los límites técnicos pueden hacer que la explicación sea una cuestión de grado y no de perfección.
Los recursos y la gestión de riesgos son operativos, no meramente aspiracionales
Una de las características más sólidas del Convenio es que no se detiene en principios de alto nivel. También exige a las partes que garanticen recursos y salvaguardias procesales. Cuando los sistemas de IA pertinentes puedan afectar significativamente a los derechos humanos, las partes deben garantizar que la información relevante esté documentada, puesta a disposición de los organismos autorizados y, cuando proceda, comunicada a las personas afectadas. El objetivo es práctico: las personas deben disponer de información suficiente para impugnar una decisión adoptada o sustancialmente fundamentada por la IA y, cuando proceda, para impugnar el uso del propio sistema.
El Convenio también exige la posibilidad efectiva de presentar una reclamación ante las autoridades competentes, así como garantías procesales cuando la IA afecte significativamente al disfrute de los derechos humanos. En algunos contextos, las personas que interactúen con la IA deben ser informadas de que están interactuando con una máquina y no con un ser humano.
La gestión de riesgos e impactos discurre en paralelo a esos recursos. Las partes deben adoptar o mantener medidas para identificar, evaluar, prevenir y mitigar los impactos reales y potenciales sobre los derechos humanos, la democracia y el estado de derecho. El Convenio establece que este proceso debe ser iterativo, proporcionado al contexto y la gravedad, e informado, cuando proceda, por las perspectivas de las personas afectadas y otras partes interesadas relevantes. También exige medidas de seguimiento, documentación, pruebas y mitigación. En casos especialmente graves, las partes deben evaluar si son necesarias moratorias, prohibiciones u otras medidas para usos que consideren incompatibles con los valores protegidos por el Convenio.
La supervisión, la consulta y la práctica técnica rodean el núcleo jurídico
El Convenio no crea un único regulador global de IA. En cambio, exige a cada parte que establezca o designe uno o más mecanismos de supervisión eficaces. Dichos mecanismos deben actuar de forma independiente e imparcial, y deben contar con las competencias, la experiencia y los recursos necesarios para desempeñar su función. Las partes pueden adaptar las estructuras existentes, coordinar varios reguladores o crear nuevos si fuera necesario.
La implementación no está concebida como un proceso cerrado y tecnocrático. El Convenio establece que las partes deben procurar que las cuestiones importantes planteadas por la IA se aborden mediante el debate público y la consulta con múltiples partes interesadas. También fomenta la alfabetización digital y las competencias especializadas entre la población en general y entre quienes son responsables de identificar y gestionar los riesgos de la IA.
Aquí es también donde entran en juego las normas y la garantía de conformidad. El informe explicativo señala los esquemas de cumplimiento, las prácticas de garantía y las normas técnicas basadas en el consenso como formas útiles de dar forma práctica a las obligaciones jurídicas de textura abierta. Los recursos HUDERIA del Council of Europe encajan en este punto. Son orientaciones no vinculantes para evaluar los riesgos e impactos sobre los derechos humanos, la democracia y el estado de derecho, y pueden servir de apoyo tanto a los actores públicos como a los privados cuando las partes trasladan los principios del tratado a la práctica.
El seguimiento es cooperativo y el tratado sigue en fase de ratificación
El Convenio establece un sistema de seguimiento a través de una Conferencia de las Partes. Las partes informarán sobre la implementación en los dos primeros años tras quedar vinculadas, y posteriormente de forma periódica. La Conferencia puede facilitar la implementación, intercambiar información, celebrar audiencias públicas cuando proceda y apoyar la cooperación entre las partes y las partes interesadas. El informe explicativo también indica que puede emitir recomendaciones sobre interpretación y aplicación, aunque dichas recomendaciones no son en sí mismas jurídicamente vinculantes.
El tratado entra en vigor una vez que cinco signatarios hayan expresado su consentimiento en obligarse, incluidos al menos tres estados miembros del Council of Europe. Las noticias oficiales del Council of Europe confirman que la firma de Macedonia del Norte el 8 de mayo de 2026 elevó el número de signatarios a 20, y que la Unión Europea ratificó el 15 de mayo de 2026. La ratificación de la UE es especialmente importante porque la Unión declaró que aplicará los capítulos principales del Convenio a los actores privados a través de the AI Act y otras normas pertinentes del derecho de la Unión.
No he localizado ningún aviso oficial que indique que el umbral de entrada en vigor se hubiera alcanzado antes del 4 de junio de 2026. Sobre esa base, la lectura más prudente es que el Convenio seguía en fase de ratificación en esa fecha.
Ejemplos
Un ministerio adquiere un sistema de IA a un proveedor privado para ayudar a asignar prestaciones de bienestar social o apoyar la toma de decisiones en fronteras. El informe explicativo menciona la distribución de prestaciones sociales, la inmigración, los procedimientos de asilo y el control fronterizo como ejemplos de contextos en los que la IA puede afectar a los derechos, la confianza democrática y las garantías jurídicas. En virtud del Convenio, un proveedor que actúa en nombre de una autoridad pública no queda fuera del marco. En la práctica, esto apunta a cláusulas de contratación más estrictas, obligaciones de documentación, revisión humana, vías de reclamación y mecanismos de supervisión.
Un sitio web gubernamental despliega un chatbot de IA para interactuar con el público. El informe explicativo establece que, por lo general, los usuarios deben ser informados cuando están interactuando con IA en lugar de con una persona. Si ese mismo sistema informa posteriormente de manera sustancial una decisión administrativa que afecta a derechos, la lógica de recursos del Convenio también resulta aplicable: las personas afectadas deben poder obtener información suficiente para impugnar la decisión y presentar una reclamación ante la autoridad competente.
Dentro de la UE, el Convenio ya está siguiendo una vía de implementación concreta. Cuando la UE lo aprobó, la Unión declaró que aplicaría los capítulos principales del Convenio a los actores privados a través del AI Act y otras normas pertinentes del derecho de la Unión. Para las organizaciones que ya se están preparando para el cumplimiento del AI Act, esto significa que el Convenio importa menos como una lista de verificación independiente y más como un marco jurídico internacional que refuerza la justificación basada en derechos, democracia y estado de derecho de esos controles.
Malentendidos frecuentes
Es lo mismo que el EU AI Act. No lo es. El Convenio es un marco de tratado para los estados. El AI Act es un reglamento de la UE detallado con muchas más normas operativas.
Solo importa en Europa. No es así. El tratado se negoció con estados no miembros y está abierto a una participación más amplia. Entre sus signatarios ya figuran países no europeos.
Solo cubre la IA gubernamental. No exactamente. Las autoridades públicas están directamente cubiertas, y los actores privados también deben ser abordados. La cuestión principal es cómo cada parte decide implementar la cobertura del sector privado.
Prohíbe automáticamente una lista fija de usos de la IA. No. El tratado no contiene una lista negra universal única. En cambio, exige a las partes que evalúen si son necesarias moratorias, prohibiciones u otras medidas para usos que consideren incompatibles con los valores protegidos.
Ya está plenamente en vigor. A 4 de junio de 2026, las fuentes oficiales confirmaban una amplia firma y la ratificación de la UE, pero no he localizado ningún aviso oficial de que el tratado hubiera superado su umbral de entrada en vigor.
Riesgos y límites
El Convenio es poderoso como marco normativo, pero no es un manual de cumplimiento para empresas en un solo documento. Deja a las partes un margen de discrecionalidad considerable en cuanto a la implementación. En algunos países, eso puede traducirse en nueva legislación específica sobre IA. En otros, puede significar normas de contratación actualizadas, orientaciones de los reguladores, aplicación de la normativa de protección de datos, interpretación judicial, regulación sectorial o combinaciones de medidas existentes.
Su ámbito de aplicación también es desigual en los márgenes. Las autoridades públicas y los actores privados que actúan en su nombre están directamente contemplados, pero la actividad del sector privado en general puede seguir gestionándose a través de distintas vías de implementación elegidas por cada parte. No se exige que la actividad de seguridad nacional quede dentro del Convenio, y la defensa queda fuera de su ámbito. Las obligaciones de recursos e información también utilizan umbrales vinculados a sistemas que afectan significativamente a los derechos humanos, por lo que no todo uso de la IA generará las mismas obligaciones.
El estado jurídico actual también es relevante. Las fuentes oficiales confirman claramente la actividad de firma y la ratificación de la UE. Lo que resulta menos claro, a partir de las fuentes que he localizado, es si las ratificaciones adicionales posteriores al 15 de mayo de 2026 ya habían sido depositadas de un modo que cumpliera el umbral de entrada en vigor antes del 4 de junio de 2026. La posición prudente es tratar la entrada en vigor formal como todavía pendiente, salvo que la Oficina de Tratados del Council of Europe indique lo contrario.
Próximos pasos
Identifique dónde el uso de IA de su organización podría afectar a los derechos humanos, los procesos democráticos o las funciones del estado de derecho. No limite ese ejercicio a la privacidad o la ciberseguridad. Incluya la toma de decisiones públicas, el acceso a la justicia, las elecciones, el debate público, la equidad administrativa y los grupos vulnerables.
Trate las cadenas de suministro del sector público como un área prioritaria. Si vende IA a la administración, u opera IA en nombre de una autoridad pública, asuma que la documentación, la revisión humana, la gestión de reclamaciones y el escrutinio de la contratación seguirán endureciéndose primero en esa parte del mercado.
Construya evidencia del ciclo de vida desde ahora. Eso implica una delimitación clara del alcance, evaluación de riesgos e impactos, pruebas, seguimiento, control de cambios, asignación de responsabilidades, notificación a los usuarios cuando proceda, y registros que puedan respaldar una impugnación o revisión si un sistema afecta a derechos.
Separe tres cuestiones de gobernanza en los debates de liderazgo: qué exige ya el derecho interno vigente, qué puede añadir la implementación del tratado en las jurisdicciones en las que opera, y qué buenas prácticas conviene adoptar antes de que llegue cualquier cambio legal formal.
Esté atento a las ratificaciones, las declaraciones del artículo 3 sobre actores privados y las orientaciones prácticas como HUDERIA. Esos son los lugares donde este marco comienza a transformarse del lenguaje de alto nivel de un tratado en expectativas cotidianas de gobernanza.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Qué significa aquí "convenio marco"?
Significa que el tratado establece principios, obligaciones e instituciones comunes, pero deja a las partes margen para implementarlos a través de sus propios sistemas jurídicos, reguladores y marcos de derechos existentes.
¿Está ya en vigor el Convenio?
El tratado entra en vigor tras cinco ratificaciones, incluidas al menos tres de estados miembros del Council of Europe. Las fuentes oficiales confirman 20 signatarios y la ratificación de la UE, pero no he localizado ningún aviso oficial de que el umbral se hubiera alcanzado antes del 4 de junio de 2026.
¿Quién puede firmarlo o adherirse a él?
Los estados miembros del Council of Europe, los estados no miembros que participaron en su redacción y la UE podían firmarlo desde el principio. Tras la entrada en vigor, otros estados no redactores podrán ser invitados a adherirse.
¿Se aplica a las empresas privadas?
Sí, pero no a través de un modelo idéntico en todas partes. Cada parte debe abordar los riesgos del sector privado y declarar si aplica directamente los capítulos principales del Convenio a los actores privados o recurre a otras medidas adecuadas.
¿Crea nuevos derechos humanos?
No. El informe explicativo señala que el Convenio tiene por objeto ayudar a aplicar las obligaciones existentes en materia de derechos humanos, democracia y estado de derecho a la actividad de IA, no crear un nuevo conjunto de derechos.
¿Prohíbe por sí mismo algún uso de la IA?
No mediante una lista negra fija en el tratado. Exige a las partes que evalúen si son necesarias moratorias, prohibiciones u otras medidas para usos que consideren incompatibles con los derechos humanos, la democracia o el estado de derecho.
¿Cómo se relaciona con el EU AI Act?
La UE ha declarado que implementará el Convenio a través del AI Act y otras normas pertinentes del derecho de la Unión. El Convenio es más amplio y está más basado en principios; el AI Act es más detallado y operativo.
¿En qué se diferencia de la recomendación de ética de la IA de la UNESCO?
La recomendación de la UNESCO es un instrumento global de normas independiente para los estados miembros de la UNESCO. El instrumento del Council of Europe es una vía de tratado que depende de la firma, la ratificación y la implementación nacional.